Sisukord
21. oktoobril 2026 avaldati PHP-le kaks kriitilist turvaparandust. Kuna PHP-d kasutavad ka WordPressi kodulehed ja paljud e-poed, puudutab see uudis potentsiaalselt väga paljusid veebilehe omanikke.
See ei tähenda, et sinu koduleht oleks juba häkitud. Küll aga tasub kontrollida, kas veebimajutuses kasutatav PHP versioon on turvaparanduse saanud. Õnneks ei pea selleks programmeerija olema.
Mis PHP turvaauk avastati?
PHP on veebiserveris töötav tarkvara, mille abil toimivad WordPress, WooCommerce ja paljud teised veebirakendused. 21. oktoobril avaldati parandused turvanõrkustele CVE-2026-109618 ja CVE-2026-109619. Teatud tingimustel võivad need võimaldada sisse logimata ründajal serveris koodi käivitada.
Tegemist on PHP, mitte WordPressi enda veaga. Seetõttu ei paranda seda WordPressi tuuma või pistikprogrammide uuendus. PHP ametlik turvateade soovitab parandatud PHP versioonile üle minna kohe.
Kas minu koduleht on ohus?
Kui veebileht kasutab parandamata PHP versiooni, võib see olla ohustatud. WordPressi või WooCommerce’i kasutamine ei tähenda siiski automaatselt, et leht oleks nakatunud või seda oleks rünnatud.
Hallatud veebimajutuse pakkuja võib olla paranduse juba paigaldanud. Mõni majutaja kasutab ka tagasiportimist ehk lisab turvapaiga ilma nähtavat põhi-versiooninumbrit muutmata. Seetõttu tuleb paranduse olemasolu vajadusel majutajalt üle küsida. Turvanõrkus ei ole sama mis juba toimunud häkkimine.
Kuidas kontrollida PHP versiooni?
- Logi WordPressi haldusesse.
- Ava Tööriistad → Saidi tervis → Teave → Server.
- Ingliskeelses halduses vali Tools → Site Health → Info → Server.
- Leia kasutatav PHP versioon ja võrdle seda tabeliga.
- Kui turvapaiga olemasolu jääb ebaselgeks, küsi majutajalt kinnitust.
WordPressis kuvatav versiooninumber ei näita alati eraldi tootjapoolseid tagasiportitud parandusi. Kahtluse korral on teenusepakkuja vastus täpsem kui oletus.
Millised PHP versioonid on turvaparandusega?
| PHP haru | Parandusega versioon |
|---|---|
| PHP 8.5 | 8.5.12 või uuem |
| PHP 8.4 | 8.4.27 või uuem |
| PHP 8.3 | 8.3.36 või uuem |
| PHP 8.2 | 8.2.35 või uuem |
PHP 8.1 ja vanemad harud ei saa PHP projektilt enam tavapäraseid turvauuendusi. Mõni Linuxi distributsioon või pika toe pakkuja võib kasutada tagasiportitud turvapaiku, mille olemasolu peab kinnitama teenusepakkuja. PHP 8.2 turvatugi lõpeb PHP ametliku ajakava järgi 31. detsembril 2026, seega tasub kavandada üleminek uuemale toetatud harule. Kõik saidid ei pea kohe PHP 8.5 peale minema; oluline on toetatud, parandatud ja veebilehega ühilduv versioon.
Mida peab kodulehe omanik nüüd tegema?
1. Kontrolli versiooni. Vaata seda WordPressist või veebimajutuse halduspaneelist.
2. Küsi majutajalt kinnitust. Võid saata järgmise küsimuse:
Tere! Palun kinnitage, kas minu veebilehe PHP on kaitstud turvanõrkuste CVE-2026-109618 ja CVE-2026-109619 vastu. Milline PHP versioon või turvaparandus on kasutusel? Kas pean ise midagi tegema?
3. Korralda vajadusel uuendus. Kui turvapaik puudub, lase PHP parandatud versioonile uuendada. Enne suuremat versioonivahetust tee varukoopia ning kontrolli pärast muudatust veebilehte, vorme, haldusvaadet ja e-poe ostuprotsessi. Vajadusel aitab seda kontrollitult teha WordPressi hooldus.
4. Kui uuendamine pole võimalik, küsi kiiresti tehnilist abi. Internetist ligipääsetavat haavatavat süsteemi ei tasu teadmata ajaks töös hoida. WAF või turvaplugin võib riski vähendada, kuid ei asenda PHP turvaparandust.
23. oktoobri täiendus: PHP projekt soovitab harva esineva täiendava sessioonidega seotud ründevektori leevendamiseks ajutiselt keelata session.upload_progress, kuni ilmub järgmine tavapärane veaparandus. Seda serveriseadistust peaks kontrollima majutaja või serverihaldur; ära muuda seda pimesi ise.
Kas peab muretsema?
Kui sinu PHP on parandatud, ei ole nende kahe konkreetse turvaaugu pärast põhjust paanikaks. Kui parandust ei ole või sa ei tea oma PHP versiooni, tasub tegutseda kohe.
Nähtavate probleemide puudumine ei tõesta, et kõik on turvaline. Samas ei tohi eeldada, et iga parandamata veebileht on juba rünnatud.
Korduma kippuvad küsimused
Kas see tähendab, et minu WordPressi koduleht on häkitud?
Ei. Turvanõrkuse olemasolu ei tõesta rünnakut. Kahtlaste suunamiste, tundmatute kasutajate või rämpslehtede korral vajab sait eraldi häkkimise kontrolli ja puhastamist.
Kas WordPressi ja pluginate uuendamisest piisab?
Ei. Need vead asuvad PHP-s endas. WordPressi uuendused on olulised, kuid ei asenda serveri PHP turvapaika.
Kas pean kohe PHP 8.5 peale üle minema?
Mitte tingimata. Sobib ka teine toetatud haru, millele turvaparandus on paigaldatud. Suurema versioonivahetuse korral kontrolli ühilduvust.
Kas veebimajutus teeb uuenduse automaatselt?
See sõltub teenusest ja majutajast. Mõni pakkuja haldab PHP turvauuendusi ise, kuid omanik peaks kinnitust küsima.
Mis siis, kui ma ei oska PHP versiooni muuta?
Sa ei pea serverit ise seadistama. Võta ühendust majutaja või veebilehe tehnilise haldajaga ja palu turvapaiga olemasolu kontrollida.
Kokkuvõte
Kontrolli kasutatavat PHP versiooni ja küsi vajadusel majutajalt kinnitust. Kui parandus puudub, korralda uuendus koos varukoopia ja olulisemate funktsioonide järelkontrolliga.
Ära aja turvanõrkust segamini juba toimunud häkkimisega, kuid ära lükka kriitilist parandust edasi.
